CVE-2026-56226
Açıklama
12.128.2 sürümünden önceki Capgo (Cap-go/capgo), SECURITY DEFINER olan ve anon rolüne atanmış olan Supabase PostgREST RPC fonksiyonu public.get_orgs_v6(userid uuid)'yi dışarıya açarak kimlik doğrulanmamış erişime izin vermektedir. Fonksiyon, çağırıcı tarafından sağlanan kullanıcı UUID'sini kimliği doğrulanmış kullanıcıyla eşleşip eşleşmediğini doğrulamadan kabul ettiği için, yalnızca genel yayınlanabilir API anahtarını kullanan bir saldırgan, herhangi bir kullanıcı UUID'si ile POST /rest/v1/rpc/get_orgs_v6 sorgusu yaparak söz konusu kullanıcının organizasyon üyeliğini, rollerini, abonelik/deneme meta verilerini ve management_email (Kişisel Veriler - PII) bilgisini elde edebilir.
Nasıl düzeltilir
- Cap-go capgo12.128.2 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| Cap-go capgo | v < 12.128.2 | 12.128.2 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.